Hermes Agent lief unbeaufsichtigt gegen Thailands Finanzministerium – und seine Logs blieben online

Zwischen dem 9. und 13. Juli 2026 entdeckten das Threat-Intelligence-Unternehmen Hunt.io und der Forscher Bob Diachenko drei offene Verzeichnisse auf einem Staging-Server in Hongkong, der zu einem Eindringen gegen das Finanzministerium Thailands gehörte. Die 585 Dateien und 470 MB Material enthielten die Protokolle von Hermes Agent, dem Open-Source-Agent-Framework von Nous Research, das im „YOLO“-Modus lief, wobei der Schritt der menschlichen Freigabe abgeschaltet war. Unbeaufsichtigt führte es LinPEAS-Privilegienprüfungen aus, enumerierte SUID-Binärdateien und durchsuchte rekursiv ein Web-Root, das zum Amt des Ständigen Sekretärs für Finanzen gehörte, wobei es Personalunterlagen katalogisierte, die bis ins Jahr 2012 zurückreichen. Auf demselben Host befand sich ein zuvor nicht gemeldetes Go-Implantat, das der Betreiber Hades nannte. Hunt.io fand keine Hinweise darauf, dass Dateien entwendet wurden, und konnte nicht feststellen, wie die Eindringlinge ursprünglich hineingelangten. Der vollständige Eintrag, datiert auf den 30. Juli 2026 und mit Vertrauensgrad A bewertet, steht in dem KI-Vorfallarchiv neben den anderen Aufzeichnungen über agentengesteuerte Eindringlinge in dieser Reihe.

Die Verzeichnisse befanden sich auf 43.246.208[.]207, einem Host bei AS132883 (TOPIDC) in Hongkong, und das Attack Capture von Hunt.io archivierte sie am 9., 10. und 13. Juli: 145 Dateien, dann 62, dann 378, insgesamt 585. Die IP hatte eine dokumentierte Vorgeschichte als ShadowPad-Controller und betrieb, als Hunt.io sie untersuchte, einen VShell-Command-and-Control-Server auf Port 21083. Die Forscher sagen, sie hätten „keine Belege, die bestätigen oder widerlegen“, dass VShell gegen das Ministerium eingesetzt wurde. Das Archiv datiert den Eintrag auf den 30. Juli 2026; die dahinterstehende Forschung ist älter, wurde von Hunt.io am 23. Juli nach einem siebentägigen Offenlegungsfenster veröffentlicht und von The Record am 27. Juli sowie von Dark Reading am 28. Juli berichtet.

Die fünf Anrufprotokolle des Agenten

In dem Verzeichnis vom 9. Juli befand sich ein Ordner namens hermes-results mit fünf Dateien, die jeweils den Namen call_00_ gefolgt von einer zufälligen Zeichenfolge trugen. Hunt.io beschreibt sie als Aufzeichnungen der eigenen Aufrufe des Agenten und fasst zusammen, was jeder zurückgab. Die erste ist eine Privilege-Escalation-Bewertung und ein Scan auf Kernel-Schwachstellen gegen einen Host des Ministeriums. Die zweite ist ein zweiter LinPEAS-Lauf, der Dienste aufzählt. Die dritte zählt mit find SUID- und SGID-Binärdateien auf. Die vierte listet Container und Dateisysteme auf und ist von Broken-Pipe-Fehlern durchsetzt, die Hunt.io so deutet, dass der Agent mehr Ausgabe erzeugte, als der Server übertragen konnte. Die fünfte ist die wichtigste: eine rekursive Durchsuchung des Web-Roots, der mit dem Büro des Permanent Secretary verbunden war und in dem sich Standard-Office-Dokumente, Formulare zur Leistungsbewertung und Personalakten befanden, die bis ins Jahr 2012 zurückreichten.

Nichts davon erforderte einen Menschen an der Tastatur. Hunt.io zufolge betrieb der Operator Hermes Agent „im unbeaufsichtigten oder YOLO-Modus, wobei Bestätigungsaufforderungen für Befehle umgangen wurden, die als gefährlich gelten könnten“. Das im Februar 2026 veröffentlichte Framework läuft als dauerhafter Daemon und behält den Speicher über Sitzungen hinweg; YOLO ist die Option, die die Aufforderungen entfernt. Hunt.io berichtet, dass das Projekt bis Juli 2026 mehr als 140.000 GitHub-Sterne erreicht hatte. Die Analyse der Protokolle durch die Cloud Security Alliance beschreibt einen Agenten, der jedes Ergebnis bewertet und den nächsten Schritt auswählt – ein Workflow, der von außen betrachtet dem ähnelt, wie ein menschlicher Analyst vorgehen würde, allerdings im Maschinentempo.

Hunt.io ist vorsichtig damit, was die Logs belegen. Der Web-Root-Crawl zeigt, dass der Agent Personaldaten erreicht; dass diese das Netzwerk verlassen, zeigt er nicht. „Es gibt keine Hinweise darauf, dass die Dateien exfiltriert wurden“, heißt es in dem Bericht. Die Zusammenfassung des gesamten Servers lautet, dass die Dateien „eine noch andauernde Intrusion beschreiben: Werkzeuge bereitgestellt, interner Zugriff ausgeweitet, und keine Anzeichen dafür, dass Daten das Netzwerk verlassen hatten, obwohl der Operator eindeutig Webinhalte katalogisierte.“

Die Arbeit, die der Mensch noch erledigte

Die Arbeitsteilung ist der nützlichste Aspekt des Berichts. Der Agent übernahm die allgemeine, wiederholbare Aufklärung – Arbeit, die sich skripten lässt und kein Wissen über das Ziel erfordert. Der Operator lieferte, was der Agent nicht wissen konnte: eine Passwort-Wortliste, erstellt aus Abkürzungen der internen Abteilungen und Programme des Ministeriums, internen Hostnamen, nicht routbaren Adressen und Skripten, die auf bestimmte Dienste zugeschnitten waren. Die am 26. Juli veröffentlichte Forschungsnotiz der Cloud Security Alliance macht denselben Punkt: Der Mensch behielt die „zielspezifische Vorgehensweise“ bei, während der Agent die Teile ausführte, die sich skalieren lassen.

Das klarste Beispiel ist die Hadoop-Kette. Das Verzeichnis vom 13. Juli enthielt mehr als ein Dutzend Dateien, die auf Apache HiveServer2 abzielten, darunter hive_rce_py2.py, das einen Raw Socket zu einem internen Knoten an Port 10000 öffnet und sich mit SASL PLAIN authentifiziert. Der Standardauthentifizierungsmodus von HiveServer2 ist NONE, der beliebige Anmeldedaten ohne Validierung akzeptiert, und das Skript wurde genau darauf ausgelegt. Anschließend registriert es eine bösartige, als HiveCmd.jar paketierte benutzerdefinierte Java-Funktion und leitet Shell-Befehle über Hive SQL weiter, wobei die Ausgabe über WebHDFS von einem zweiten internen Knoten an Port 50070 abgerufen wird. Eine separate Ambari-Payload nennt einen internen HDFS-DataNode anhand des Hostnamens und zielt damit eher auf die Managementebene als auf die Daten.

Der Rest des Toolkits folgt demselben Vorbereitungsmuster. Node.js-Skripte mit dem Präfix gf_ steuern eine Headless-Chrome-Instanz über einen SOCKS5-Proxy, um eine interne GlassFish-Admin-Konsole zu erreichen, sich mit Standardanmeldedaten anzumelden und eine WAR-Datei bereitzustellen; Hunt.io konnte nicht bestätigen, dass eine der beiden WAR-Dateien bereitgestellt wurde. Eine als Journal-Cache-Datei getarnte PHP-Webshell wurde auf einem Webserver des Ministeriums unter /storage/Counter/nine/.journald-cache.php abgelegt. Ein Perl-Skript, mail4.pl, testet die SMTP-Authentifizierung gegenüber der Mail-Infrastruktur des Ministeriums mit hartcodierten Postfachadressen und Passwörtern, die aus den extrahierten Tokens zusammengesetzt sind; Python-Skripte namens mail_test.py und mail3.py tun dasselbe. Eine Textdatei, alf_cookie.txt, enthält Alfresco-Sitzungsmaterial für eine interne Adresse des Ministeriums. Beide Verzeichnisse enthalten außerdem Exploit-Code für CVE-2021-3156, den sudo-Heap-Overflow, CVE-2021-4034, PwnKit, und CVE-2017-7269, den IIS 6.0-WebDAV-Overflow, zusammen mit Shellcode und Pfaden, die auf das Intranet des Ministeriums verweisen.

Nichts daran ist eine neuartige Vorgehensweise. Was die Protokolle zusätzlich zeigen, ist, dass die Enumeration kontinuierlich lief – ohne die Pausen, die ein menschlicher Bediener zwischen Befehlen lässt; die Notiz der Cloud Security Alliance argumentiert, dass eine Erkennung, die auf tastaturgetakteter Aktivität aufbaut, schlecht darauf abgestimmt ist.

Hades, bereitgestellt, aber Ausführung nicht bestätigt

Das Verzeichnis vom 10. Juli war ein Auslieferungsserver: 62 kompilierte Go-Binärdateien, Windows PE und Linux ELF, viele davon nach legitimen Systemprozessen benannt – ctfmon, csrss, conhost und MicrosoftEdgeUpdate unter Windows; kworker, multipathd und accounts-daemon unter Linux. Zwei tragen den Namen des Projekts, hades_linux_amd64 und hades_windows_amd64. Hunt.io analysierte je eine Probe von jeder Plattform und stellte fest, dass sie aus derselben Codebasis stammten; die übrigen 60 weisen denselben Größenbereich und dieselben Build-Eigenschaften auf, wurden aber nicht einzeln untersucht.

Statische und dynamische Analyse ergaben HTTPS-Command-and-Control, das als statische Web-Assets getarnt wurde: /assets/app.min.js für das Check-in, /assets/vendor.js für das Tasking, /assets/main.js für den Upload. Die Payloads werden mit AES-256-GCM unter einem fest eingebauten Schlüssel pro Build verschlüsselt. Zu den Umgebungsvariablen gehören ein Kill-Datum, HADES_KILLDATE, sowie ein Arbeitszeitplan, der das Implant außerhalb eines konfigurierten Zeitfensters schlafen lässt. Der Windows-Build persistiert über einen Registry-Run-Schlüssel und eine geplante Aufgabe, wird im Speicher durch reflektierendes Laden in einen ausgehöhlten svchost.exe ausgeführt, erfasst Screenshots über GDI und bietet einen SOCKS-Proxy; der Linux-Build nutzt einen Cron-Job, ein Standard-PTY und Shellcode-Ausführung. Beide unterstützen gestückelten, fortsetzbaren Dateitransfer.

Die beiden analysierten Samples wiesen auf unterschiedliche Controller hin: Die Windows-Executable dwm_33b7.exe sendet Beacon-Signale an den Staging-Server auf Port 443, und die Linux-Binärdatei multipathd_04d0 an 202.181.27[.]115 auf Port 12443 – der Host, der anhand des gemeinsamen Zertifikatsfingerabdrucks ermittelt wurde. Hunt.io merkt an, dass die Benennung möglicherweise zufällig ist: In der griechischen Mythologie führt Hermes Seelen in den Hades.

Was keine Quelle belegt, ist, dass Hades im Ministerium läuft. Hunt.io hat die Binärdateien vom eigenen Server des Betreibers geborgen. Die Mitteilung der Cloud Security Alliance besagt, dass kein geborgenes Artefakt zeigt, dass Hades einen Rechner des Ministeriums erreicht hat, und Dark Reading berichtet, dass die Untersuchung nicht angab, wo es eingesetzt wurde. Das Implantat ist eine Fähigkeit, die der Betreiber entwickelt und bereitgestellt hatte, kein bestätigter dauerhafter Bewohner eines Ministeriumssystems.

Wer steckte dahinter?

Hunt.io nannte keine Gruppe. Mit geringer bis mittlerer Konfidenz bewertete das Unternehmen anhand von vier Indikatoren, dass der Operator chinesischsprachig oder mit der Sprache bestens vertraut ist: die Vorgeschichte des Hosts als ShadowPad-Controller, Infrastruktur in Hongkong, ein Passwort für die Hermes-Weboberfläche, das das chinesische Wort „Leishen“ enthält, was Donnergott bedeutet, und ein API-Schlüssel für FOFA, einen chinesischen Dienst zur Aufklärung von Internet-Assets. Ein Umgebungs-Snapshot verzeichnet außerdem den SSH-Client 103.97.0[.]57 auf AS133073 (HK Kwaifong Group Limited), der eine Verbindung zum Staging-Server herstellt. Nichts davon ist eine Zuschreibung zu einem Staat oder einem benannten Cluster, und Hunt.io sagt das auch.

Zwei Dinge über das Eindringen selbst bleiben unbekannt. Der anfängliche Zugangspfad ist eines davon: „Die Methode des anfänglichen Zugangs bleibt unbekannt“, schließt der Bericht. Das andere ist der Umfang. Hunt.io erklärt, dass aktive Session-Cookies, eingesetzte Web Shells und interner Netzwerkzugriff darauf hindeuten, dass der Akteur „mehrere Systeme innerhalb des MOF-Netzwerks kompromittieren konnte“, warnt aber auch, dass die Cookie-Werte allein keinen Login belegen, da Laravel jedem Besucher Session- und CSRF-Tokens ausstellt. Die Kompromittierung ist eine aus Artefakten erstellte Einschätzung, kein bestätigtes Inventar der Hosts.

Was Thailand als Nächstes tat

Hunt.io gibt an, dass es und Diachenko am 15. Juli 2026 das nationale CERT Thailands und die National Cyber Security Agency benachrichtigt haben und dass beide noch am selben Tag den Eingang bestätigten; die Veröffentlichung wurde dann für einen Zeitraum von sieben Tagen zurückgehalten. In der für diesen Artikel geprüften Berichterstattung wurde kein öffentlicher ThaiCERT-Hinweis gefunden, der sich auf das Ministerium bezieht.

Am 27. Juli, dem Tag, an dem The Record über das Eindringen berichtete, hielt Thailands National Cyber Security Committee ihre zweite Sitzung im Jahr 2026 ab und genehmigte Maßnahmen gegen KI-Agenten-Bedrohungen. In der eigenen Darstellung der Behörde heißt es, das Komitee habe ThaiCERT damit beauftragt, KI-Agenten-Bedrohungen zu überwachen, zu analysieren und nachzuverfolgen, gefährdete Behörden zu warnen und Incident Response sowie digitale Forensik zu unterstützen; es habe sektorale CERTs mit der Verschärfung von Prüfungen und der Berichterstattung beauftragt; und es habe proaktive Schritte befürwortet, darunter Prüfungen internetseitig erreichbarer Systeme, die Verwaltung privilegierter Konten, Netzwerksegmentierung, Backups und Wiederherstellungstests. Außerdem gab es Leitlinien für den sicheren, transparenten und auditierbaren Einsatz von KI-Agenten in Organisationen sowie gemeinsame Übungen von ThaiCERT und den sektoralen CERTs vor, bei denen KI-Agenten-Angriffe simuliert werden. Der Beitrag nennt weder das Finanzministerium noch Hunt.io, und The Record merkte an, dass Beamte „nicht direkt auf die Hunt.io-Untersuchung Bezug nahmen“, als sie die offenbar auf die Bedrohung abzielenden Maßnahmen bewerteten. Jede kausale Verbindung zwischen dem Treffen und diesem Eindringen ist eine Schlussfolgerung, keine Aussage der Behörde.

Theerawut Wittayakorn, stellvertretender Generalsekretär des Nationalen Ausschusses für Cybersicherheit, sagte nach dem Treffen, Thailand müsse „vollständig von KI profitieren können und dabei die damit verbundenen Risiken systematisch bewältigen“, wie The Record berichtete. Das Finanzministerium selbst schwieg: The Record berichtete am 27. Juli, das Ministerium habe den Vorfall nicht öffentlich bestätigt und nicht auf eine Anfrage nach einer Stellungnahme geantwortet, und Dark Reading berichtete am nächsten Tag, die Regierung habe sich nicht geäußert. Der Eintrag des Archivs vom 30. Juli hält dasselbe fest.

Was steht fest, was wird bewertet, was fehlt

Das Archiv ordnet den Eintrag als eingetretenen Vorfall ein, Schweregrad kritisch, Konfidenz A, unbestritten, mit dokumentiertem realem Schaden und dem Typ-Tag WEAPON; er ist nicht als Landmarke gekennzeichnet. Die Konfidenzstufe beschreibt die Dokumentation, und diese Dokumentation ist ungewöhnlich direkt: Hunt.io hat den Staging-Server der Operatoren archiviert, nicht die Protokolle eines Opfers. Sie beschreibt keine unabhängige Verifizierung, und in diesem Punkt ist der Eintrag dünn.

• Festgestellt: drei offene Verzeichnisse auf einem Host zwischen dem 9. und 13. Juli mit 585 Dateien und 470 MB; fünf Hermes-Aufrufprotokolle, die LinPEAS, SUID-Enumeration, Container-Auflistung und den Web-Root-Crawl zeigen; Hermes Agent im YOLO-Modus; 62 Go-Binärdateien, einschließlich Hades; das HiveServer2-Skript und seine UDF; den Web-Shell-Pfad; Zugangsdaten- und Sitzungsmaterial; keine Hinweise auf Exfiltration; die Benachrichtigung von Hunt.io an ThaiCERT und NCSA am 15. Juli, die noch am selben Tag bestätigt wurde.

• Bewertet: dass der Akteur chinesischsprachig ist, mit geringer bis mittlerer Konfidenz; dass mehrere Systeme der Ministerien kompromittiert wurden; dass die NCSA-Maßnahmen vom 27. Juli eine Reaktion auf diesen Eindringversuch waren.

• Fehlend: der anfängliche Zugangspfad; wie viele Hosts oder Datensätze der Betreiber erreichte; ob eine Datei das Netzwerk verließ; eine Bestätigung des Ministeriums; eine öffentliche ThaiCERT-Warnmeldung; eine unabhängige forensische Untersuchung.

Eine sekundäre Darstellung ging weiter als der Primärbericht. Der chinesischsprachige Sicherheitsdigest von iThome vom 27. Juli, der dieselbe Hunt.io-Studie zusammenfasst, gibt an, dass die Eindringlinge über eine PHP-Webshell auf einem aus dem Internet erreichbaren Ministeriumsserver eingedrungen seien und dass die Umgebung mindestens 47 Hosts, 54,9 TB staatliche Finanzdaten, 14 Microsoft-SQL-Datenbanken, biometrische Systeme und ein Remote-Desktop-Gateway umfasst habe. Keine dieser Zahlen erscheint im Hunt.io-Bericht, in dem es heißt, die Methode des anfänglichen Zugriffs sei weiterhin unbekannt; der Eintrag im Archiv folgt dem Bericht. Leser, die die größeren Zahlen gesehen haben, sollten sie als nicht durch die Primärquelle gestützt betrachten.

Unabhängige Berichterstattung gibt es, unabhängige Belege jedoch nicht. The Record (27. Juli), Dark Reading (28. Juli) und die Cloud Security Alliance (26. Juli) beziehen sich alle auf Daten von Hunt.io; keine beschreibt eine eigene forensische Untersuchung, einen eigenen Zugriff auf Betroffene oder eigene Probenanalysen. Dark Reading ergänzt ein Interview mit Esteban Borges, dem Leiter der Forschung bei Hunt.io, der sagt, das Unternehmen habe keine Hinweise auf Exfiltration gefunden, und die stark KI-lastigen Operationen, die er gesehen habe, hinterließen mehr, nicht weniger. The Record fügt die NCSA-Stellungnahme hinzu. Die CSA-Notiz ergänzt eine Analyse und eine nützliche Warnung: Kein wiederhergestelltes Artefakt zeigt Hades auf einem Rechner eines Ministeriums. Über diese Ergänzungen hinaus lassen sich die Vorfallfakten in der Berichterstattung auf denselben Primärbericht zurückführen.

Was den Verteidigern gesagt wurde

Die Empfehlungen von Hunt.io betreffen die Teile mit eindeutigen Korrekturen. Prüfen Sie den HiveServer2-Authentifizierungsmodus und erzwingen Sie die UDF-Blockliste; auditieren Sie Web-Roots rekursiv auf PHP-Dateien mit führenden Punktnamen, die Systemcaches nachahmen; patchen Sie sudo auf 1.9.5p2 oder höher und prüfen Sie polkit-Versionen gegen CVE-2021-4034; deaktivieren Sie WebDAV auf jeder verbleibenden IIS 6.0-Instanz oder wechseln Sie von der Plattform weg; alarmieren Sie bei Webserver-Prozessen, die ausgehende Verbindungen zu internen Ports wie 10000 oder 50070 öffnen; und ändern Sie die Standardzugangsdaten auf GlassFish-Administrationskonsolen und beschränken Sie den Zugriff auf vertrauenswürdige Netzwerke. Für Organisationen, die Agent-Frameworks betreiben, ergänzt die Cloud Security Alliance eine Kontrolle, die hier von Bedeutung gewesen wäre: Prüfen Sie, ob irgendwo ein unbeaufsichtigter oder YOLO-equivalenter Modus aktiviert ist, und deaktivieren Sie ihn, sofern kein protokollierter, risikoakzeptierter Grund vorliegt.

Hunt.io machte den Vorfall außerdem zu einer Möglichkeit, andere exponierte Panels aufzuspüren. Die Hermes-Weboberfläche, so heißt es, gibt einen unverwechselbaren Server-Header und Basic-Auth-Realm zurück, und eine Banner-Abfrage nach HermesWebUI ergab im vorigen Monat etwa 5.900 Ereignisse; eine Suche nach offenen Verzeichnissen, die den Pfad /hermes-results/ des Agenten enthielten, ergab 575 Treffer. Dies sind Zählungen aus dem Datensatz eines Anbieters zum Veröffentlichungszeitpunkt, keine Opferzahlen, und sie ändern sich, wenn Panels auftauchen und verschwinden. Das Nützliche ist der Indikator: Exponierte Agent-Panels und ihre Ausgabeverzeichnisse sind auffindbar, und so kam dieser Vorgang ans Licht.

Das Archiv markiert den Eintrag nicht als Meilenstein, und die technische Aufzeichnung stützt diese Zurückhaltung. LinPEAS, Hive-UDF-Missbrauch, Standardzugangsdaten und ein öffentlicher Exploit aus dem Jahr 2017 sind alte Werkzeuge; neu ist die personelle Aufstellung — ein Agent, der die Enumeration kontinuierlich durchführt, und ein Operator, der die zielspezifische Vorbereitung vornimmt. Diese zweiteilige Aufstellung ist es, die die Protokolle dokumentieren. Was sie nicht dokumentieren können, ist die Auswirkung: wie weit der Operator in das Ministerium vorgedrungen ist, was die Personalakten enthielten oder ob etwas das Netzwerk verließ. Bis das Ministerium oder ein unabhängiger Ermittler diese Fragen beantwortet, beschreibt die Aufzeichnung einen gut dokumentierten Einbruch, dessen Kosten noch unbekannt sind.